Apple ужесточает контроль доступа к диску в macOS из-за рисков, связанных с ИИ-агентами

Введение

Apple пересматривает подход к одной из самых чувствительных зон безопасности macOS — разрешению «Полный доступ к диску» (Full Disk Access, FDA). Причиной стали не классические вирусы и не фишинговые атаки, а новый класс угроз: автономные ИИ-агенты, которые получают доступ к файловой системе и действуют от имени пользователя. Компания заявляет, что намерена сделать выдачу этого разрешения более осознанным и контролируемым шагом.

Детали

Full Disk Access — это особое разрешение в разделе «Конфиденциальность и безопасность» системных настроек macOS. Оно открывает приложению доступ к данным, которые система иначе защищает: почтовым базам, перепискам в Messages, истории Safari, резервным копиям, файлам в защищённых папках вроде «Библиотеки» и другим чувствительным каталогам. Без FDA даже легитимная программа не сможет прочитать эти данные.

Долгое время FDA был инструментом для утилит резервного копирования, антивирусов, менеджеров окон и средств синхронизации. Пользователь выдавал разрешение один раз — и приложение получало широкий, по сути бессрочный доступ ко всей файловой системе.

Ситуация изменилась с распространением ИИ-агентов — локальных и облачных ассистентов, которые умеют самостоятельно выполнять цепочки действий: читать документы, искать файлы, формировать отчёты, отправлять письма, менять настройки. Такому агенту FDA даёт куда больше, чем нужно для конкретной задачи, а его поведение может быть недетерминированным: одна и та же команда в разных условиях приводит к разным действиям.

Apple указывает на несколько конкретных рисков:

• Избыточность привилегий. Агенту для работы с одним проектом часто достаточно доступа к одной папке, но FDA открывает всю систему.
• Prompt injection. Вредоносная инструкция, спрятанная в документе, письме или веб-странице, может заставить агента прочитать и передать данные, к которым он получил доступ.
• Цепочки делегирования. Агент может запускать другие инструменты и скрипты, и привилегия распространяется на них автоматически.
• Отсутствие прозрачности. Пользователь не всегда понимает, какие именно файлы агент читал и куда их отправлял.

Компания уже ввела дополнительные проверки и уведомления при выдаче FDA, а также развивает более узкие механизмы доступа — например, выбор конкретных папок вместо всей файловой системы. Разработчикам рекомендуется запрашивать минимально необходимый объём прав и явно объяснять пользователю, зачем он нужен.

Анализ

Шаг Apple логичен и отражает фундаментальный сдвиг в модели угроз. Раньше безопасность строилась вокруг вопроса «доверяем ли мы этому приложению?». Теперь вопрос звучит иначе: «доверяем ли мы решению, которое приложение примет в следующий момент?».

Классическая программа детерминирована: если она подписана и проверена, её поведение предсказуемо. ИИ-агент — нет. Он интерпретирует контекст, и этот контекст может быть подконтролен злоумышленнику. Именно поэтому широкое разрешение, выданное один раз, перестаёт быть адекватной мерой.

Здесь прослеживается и более широкая тенденция. Apple последовательно двигается от модели «разрешить приложению» к модели «разрешить действие»: доступ к геолокации, камере, микрофону, буферу обмена, а теперь и к файлам становится всё более гранулярным и контекстным. FDA — последний крупный «рубильник» в этой системе, и его дробление было вопросом времени.

Есть и рыночный подтекст. Apple продаёт приватность как ключевое преимущество своих устройств, и появление автономных агентов — в том числе сторонних — создаёт репутационный риск. Если агент под управлением стороннего сервиса утечёт данные пользователя с Mac, вопросы возникнут в первую очередь к Apple, а не к разработчику агента.

Обратная сторона — трение для разработчиков. Узкие разрешения означают больше запросов, больше объяснений в интерфейсе и больше сценариев, которые нужно обработать. Для небольших команд это дополнительная нагрузка, а для пользователей — риск «усталости от подтверждений», когда люди начинают соглашаться не читая.

Мнение

Ужесточение FDA — правильное направление, но само по себе оно проблему не решает. Главная уязвимость ИИ-агентов лежит не в объёме прав, а в отсутствии надёжного разделения между «данными» и «инструкциями». Пока агент не умеет стабильно отличать содержимое документа от команды, любые разрешения остаются лишь снижением вероятности инцидента, а не его предотвращением.

Куда важнее, на мой взгляд, три вещи: журналирование действий агента в понятном пользователю виде, возможность откатить последствия и обязательное подтверждение для необратимых операций — отправки данных наружу, удаления файлов, изменения системных настроек. Разрешение — это статичный барьер, а угроза здесь динамическая.

Также стоит признать: Apple реагирует, а не предугадывает. Агенты на macOS существуют уже не первый день, и лишь рост их популярности заставил компанию заняться пересмотром политики. Это типичный для индустрии паттерн — безопасность догоняет функциональность.

Итог

Apple tightening macOS Full Disk Access — это признание того, что автономный ИИ меняет саму логику защиты операционной системы. Широкие бессрочные привилегии плохо сочетаются с недетерминированным поведением агентов, и переход к узким, контекстным разрешениям неизбежен. Пользователям это даст больше контроля, разработчикам — больше работы, а всей индустрии — важный сигнал: безопасность ИИ-агентов начинается не с моделей, а с прав, которые мы им выдаём.

FAQ

Что такое Full Disk Access в macOS?
Это особое разрешение в настройках конфиденциальности, которое даёт приложению доступ к защищённым данным: почте, сообщениям, истории браузера, резервным копиям и системным папкам. Без него приложение эти файлы прочитать не сможет.

Почему Apple связывает это с ИИ-агентами?
Потому что агенты действуют автономно и могут выполнять цепочки действий, включая те, что инициированы вредоносными инструкциями в документах или на сайтах. Широкий доступ в таких условиях создаёт риск утечки данных.

Что делать пользователю прямо сейчас?
Проверьте в «Системных настройках» → «Конфиденциальность и безопасность» → «Полный доступ к диску», какие приложения им обладают, и отзовите разрешение у тех, кому оно не нужно. Выдавайте FDA только проверенным утилитам и по конкретной необходимости.